CSRF概念
CSRF跨站點請求僞造(Cross—Site Request Forgery)。
***者盜用了你的身份，以你的名義發送惡意請求，對服務器來說這個請求是完全合法的，但是卻完成了***者所期望的一個操作，比如以你的名義發送郵件、發消息，盜取你的賬號，添加系統管理員，甚至於購買商品、虛擬貨幣轉賬等。
CSRF***原理以及過程
用戶C打開瀏覽器，訪問受信任網站A，輸入用戶名和密碼請求登錄網站A；
2.在用戶信息通過驗證後，網站A產生Cookie信息並返回給瀏覽器，此時用戶登錄網站A成功，可以正常發送請求到網站A；
用戶未退出網站A之前，在同一瀏覽器中，打開一個TAB頁訪問網站B；
網站B接收到用戶請求後，返回一些***性代碼，併發出一個請求要求訪問第三方站點A；
瀏覽器在接收到這些***性代碼後，根據網站B的請求，在用戶不知情的情況下攜帶Cookie信息，向網站A發出請求。網站A並不知道該請求其實是由B發起的，所以會根據用戶C的Cookie信息以C的權限處理該請求，導致來自網站B的惡意代碼被執行。
CSRF***實例
受害者 Bob 在銀行有一筆存款，通過對銀行的網站發送請求 http://bank.example/withdraw?account=bob&amount=1000000&for=bob2可以使 Bob 把 1000000 的存款轉到 bob2 的賬號下。通常情況下，該請求發送到網站後，服務器會先驗證該請求是否來自一個合法的 session，並且該 session 的用戶 Bob 已經成功登陸。
*** Mallory 自己在該銀行也有賬戶，他知道上文中的 URL 可以把錢進行轉帳操作。Mallory 可以自己發送一個請求給銀行：http://bank.example/withdraw?account=bob&amount=1000000&for=Mallory。但是這個請求來自 Mallory 而非 Bob，他不能通過安全認證，因此該請求不會起作用。
這時，Mallory 想到使用 CSRF 的***方式，他先自己做一個網站，在網站中放入如下代碼：src=”http://bank.example/withdraw?account=bob&amount=1000000&for=Mallory ”，並且通過廣告等誘使 Bob 來訪問他的網站。當 Bob 訪問該網站時，上述 url 就會從 Bob 的瀏覽器發向銀行，而這個請求會附帶 Bob 瀏覽器中的 cookie 一起發向銀行服務器。
大多數情況下，該請求會失敗，因爲他要求 Bob 的認證信息。但是，如果 Bob 當時恰巧剛訪問他的銀行後不久，他的瀏覽器與銀行網站之間的 session 尚未過期，瀏覽器的 cookie 之中含有 Bob 的認證信息。這時，悲劇發生了，這個 url 請求就會得到響應，錢將從 Bob 的賬號轉移到 Mallory 的賬號，而 Bob 當時毫不知情。
等以後 Bob 發現賬戶錢少了，即使他去銀行查詢日誌，他也只能發現確實有一個來自於他本人的合法請求轉移了資金，沒有任何被***的痕跡。而 Mallory 則可以拿到錢後逍遙法外。
Django中如何防範CSRF
Django使用專門的中間件（CsrfMiddleware）來進行CSRF防護。具體的原理如下：
1.它修改當前處理的請求，向所有的 POST 表單增添一個隱藏的表單字段，使用名稱是 csrfmiddlewaretoken ，值爲當前會話 ID 加上一個密鑰的散列值。 如果未設置會話 ID ，該中間件將不會修改響應結果，因此對於未使用會話的請求來說性能損失是可以忽略的。
2.對於所有含會話 cookie 集合的傳入 POST 請求，它將檢查是否存在 csrfmiddlewaretoken 及其是否正確。 如果不是的話，用戶將會收到一個 403 HTTP 錯誤。 403 錯誤頁面的內容是檢測到了跨域請求僞裝。 終止請求。
該步驟確保只有源自你的站點的表單才能將數據 POST 回來。
另外要說明的是，未使用會話 cookie 的 POST 請求無法受到保護，但它們也不 需要 受到保護，因爲惡意網站可用任意方法來製造這種請求。爲了避免轉換非 HTML 請求，中間件在編輯響應結果之前對它的 Content-Type 頭標進行檢查。 只有標記爲 text/html 或 application/xml+xhtml 的頁面纔會被修改。
Django防範CSRF的具體操作
- 將'django.middleware.csrf.CsrfViewMiddleware'添加到Django的settings.py文件中的MIDDLEWARE_CLASSES列表中（默認已經添加）。 該中間件必須在 SessionMiddleware 之後執行，因此在列表中 CsrfMiddleware 必須出現在SessionMiddleware 之前 （因爲響應中間件是自後向前執行的）。 同時，它也必須在響應被壓縮或解壓之前對響應結果進行處理，因此CsrfMiddleware必須在GZipMiddleware之後執行。
MIDDLEWARE_CLASSES = (
'django.middleware.common.CommonMiddleware',
'django.contrib.sessions.middleware.SessionMiddleware',
'django.middleware.csrf.CsrfViewMiddleware',
'django.contrib.auth.middleware.AuthenticationMiddleware',
'django.contrib.messages.middleware.MessageMiddleware',
Uncomment the next line for simple clickjacking protection:
# 'django.middleware.clickjacking.XFrameOptionsMiddleware',)
- 在使用到POST方法提交FORM的頁面中，添加csrf_token標籤，例如：
<form action="." method="post">{% csrf_token %}
- 在相應的view中，確保“django.core.context_processors.csrf” 上下文處理器被正確使用，有兩種方法實現這一點，一是使用RequestContext，它內部會自動使用到“django.core.context_processors.csrf”。另一種方法是手動使用這個處理器，示例代碼如下：
from django.core.context_processors import csrf
from django.shortcuts import render_to_response
def my_view(request):
c = {}
c.update(csrf(request))
... view code here
return render_to_response("a_template.html", c)
好了，本文就給大夥分享到這裏，文末分享一波福利
獲取方式：加python羣 839383765 即可獲取！